パスキーって何？作ったほうがいい？端末を替えたらどうなる？
「パスキーを作成しますか」と出たとき、作ってよいかを決めるための案内です。仕組み、端末を替えたときの引き継ぎ、証券口座で必須になった日付を、公式の案内で確かめました（2026年11月6日時点）。
パスキーを作ってよいか
自分だけが使う端末なら、パスキーは作ってよいです。パスワードの代わりに指紋・顔・画面ロックで入れて、偽サイトでは使えません。端末が1台だけで復旧の手段が無いときは、先に別の回復手段を用意してください。共有の端末では作らず、端末を替える前に引き継ぎ先を確かめてください。
2026年11月6日に公式の案内で確かめました。主な証券会社は2026年6月から順次、パスキーを必須にしています。
パスキーとは：パスワードの代わりに、端末で本人確認する方法
パスキーは、パスワードを入れる代わりに、指紋・顔・画面ロックの暗証番号などで本人確認をしてログインする方法です。Googleは、パスワードと違って共有・コピー・書き留めができないと説明しています。
登録のとき、端末は鍵を2つ作ります。片方はサービスに預ける鍵、もう片方は手元の端末にだけ残る鍵です。Appleの説明では、サービスが持つのは預けた鍵だけで、手元の鍵が何かをサービスが知ることはありません。
指紋や顔のデータは端末の中で照らし合わせるだけで、サービスには送られません（Google・Microsoft・Yahoo! JAPAN・ドコモの案内）。Microsoftは、パスキーを多要素認証の一種としています。
なぜ偽サイトでは盗まれないか：パスワードとの違い
パスワードは、サービスと自分が同じ文字列を持っています。偽サイトに入力すると、その文字列がそのまま相手に渡ります。
パスキーは、ログインのたびに手元の鍵で証明をその場で作ります。この証明は、登録したサービスのドメインに結びついているため、偽サイトには出されません（Microsoftの説明）。FIDO Allianceも、盗まれるパスワードがないことを理由に、フィッシングに強い設計だとしています。警察庁も、偽サイトでは認証できないと説明しています。
ただし万能ではありません。端末の画面ロックを解除できる人は、その端末のパスキーでログインできます（Google・ドコモの案内）。画面ロックを付け、端末を人に使わせないことが前提です。
作ったほうがいいか：自分の場合はどうするか
サービスの画面で「パスキーを作成しますか」と出たら、次の表で自分の場面を探してください。
| あなたの場面 | 作るか | 注意・先に確かめること |
|---|---|---|
| 自分専用のスマホやパソコン | 作ってよい | 画面ロックをオンにしておく。画面ロックがない端末ではパスキーは使えない（Google） |
| 端末が1台だけで、復旧の手段が無い | 作る前に、別の手段を確かめる | バックアップ用のパスキーなど別の回復手段を用意してから作る。端末だけに残るパスキーは、その端末をなくすと入れなくなる（Microsoft） |
| 証券口座 | 取引先の案内に従って、自分専用のスマホで作る | 各社が2026年6月から順に必須にしている。時期は取引先の公式のお知らせで確かめる（下の表） |
| 共有や会社の端末 | 作らない | 共有の端末ではパスキーを作らない。作ってしまったら、Googleアカウントから削除する（Google） |
| 家族と使う端末 | 画面ロックを家族が解除できるなら、作らないことをすすめる | 公式の案内は、画面ロックを解除できる人はその端末のパスキーでログインできる、というもの（Google・ドコモ）。家族が解除できる場合の結論は、このサイトの判断 |
| 端末を替える前 | 先に引き継ぎを確かめる | 古い端末を手放す前に、新しい端末で同じサービスにログインできるか試す（次の節） |
作ったあとにパスワードが使えるかは、サービスで違います。Yahoo! JAPAN IDは、パスワードのログインを残すか無効にするかを選べます。楽天証券は、パスキーを作るとパスワードでのログインができなくなります。松井証券は、パスワードでも入れます。
パスキーを作るときは、メールやSMSのリンクからではなく、ブックマークした正しいサイトから開いてください（金融庁の呼びかけ）。
端末を替えた・なくしたとき
引き継げるかは、パスキーを預けた先で決まります。作った場所が同期型なら、同じアカウントの新しい端末で使えます。端末だけに残る形なら、新しい端末で作り直します。
| 預け先 | 新しい端末では | 端末をなくしたとき |
|---|---|---|
| iCloudキーチェーン（iPhone・iPad・Mac） | 同じApple Accountで、iCloudキーチェーンをオンにした端末の間で同期。二要素認証がオンであること | 復旧にはApple Account・SMS・セキュリティコードが必要。10回失敗すると復旧用の記録が消え、全端末をなくすと取り戻せない（Apple） |
| Googleパスワードマネージャー（Android・Chrome） | Android 9以降で画面ロックがあれば端末間で同期。新しい端末では古い端末のPIN等で復元する | 別の端末でGoogleアカウントにログインし、なくした端末のパスキーを削除できる |
| Microsoft（同期型） | Microsoft Password Managerなどに保存した同期型は、クラウドを介して複数の端末の間で同期できる（Microsoft） | 別の端末でMicrosoftアカウントに入れるかを、Microsoftの案内で確かめる |
| 端末だけに残るもの（Microsoftのデバイス固定型など） | 同期されないので、新しい端末では作り直す | 作った端末をなくすと、別の回復手段かバックアップ用のパスキーがなければ入れなくなる（Microsoft） |
替える前に、新しい端末で同じサービスにログインできるかを試してから、古い端末を手放してください。サービスによっては、新しい端末でパスキーを作り直す案内です（楽天証券）。Yahoo! JAPAN IDは、クラウド同期に対応したパスキーなら買い替えても再設定がいらないと案内しています。
使えるサービス：公式に案内のある代表
次は、公式のヘルプにパスキーの案内があるサービスの例です。ほかのサービスは、そのサービスの案内を見てください。
公式に案内のある5つのサービスを見る
| サービス | 公式の案内にあること |
|---|---|
| Googleアカウント | 指紋・顔・画面ロックでログイン。作ったパスキーは「パスキーとセキュリティキー」から削除できる |
| Microsoftアカウント | 同期型とデバイス固定型があり、保存先を選ぶ |
| Yahoo! JAPAN ID | パスキーは最大10件。パスキーを作ったあと、パスワードでのログインを無効にもできる |
| メルカリ | マイページの設定から登録する。登録済みの場合は、最低1台の端末に登録が必要 |
| dアカウント（NTTドコモ） | 対応はAndroid 10以上のChrome、iOS/iPadOS 16.3以上のSafariまたはChromeなど |
日付で見る：証券口座の乗っ取りと、パスキーの必須化
2025年春から、証券会社を装った偽サイトで盗んだIDとパスワードによる、証券口座への不正アクセス・不正取引が増えました。金融庁は2025年4月3日に注意を呼びかけ始め、2025年7月15日の日本証券業協会との意見交換で、フィッシングに耐性のある多要素認証の必須化を原則2026年6月末までに実施するよう求めました。
日本証券業協会は2025年10月15日にガイドラインを改正し、同日施行しました。ログイン時・出金時・出金先の銀行口座の変更時など重要な操作で、フィッシングに耐性のある多要素認証（例：パスキー、公開鍵基盤をもとにした認証）を実装し、必須にする（デフォルトとして設定する）と定めています。スマートフォンなどを持たない人には、代わりの多要素認証を用意することも求めています。金融庁の監督指針も同日に適用されました。
| 証券会社 | 必須になる日 | 案内にあること |
|---|---|---|
| 野村證券（のむらしょうけん） | 2026年6月27日（土） | 6時以降、取引・出金にはパスキーが必要。残高や明細を見るだけの「照会メニュー」もある（2026年5月13日付・8月31日更新） |
| SBI証券 | 2026年6月30日（火） | 原則必須。必須になったあともパスワードでログインはできるが、設定するまで案内が出続ける |
| 楽天証券 | 2026年6月から順次 | 時期は人ごとに個別案内。作るとパスワードでのログインは不可。入れないときは、パスキーの利用を一時停止すればパスワードで入れる |
| 松井証券 | 2026年6月から順次 | パスワードでのログインも選べる。未登録で不正アクセスの損失が出ると、補償しない可能性がある |
必須化の日付は会社ごとに違い、「順次」の会社は人ごとに時期が違います。自分の取引先の案内が正です。
金融庁は、各社が必須化を進めているので、提供が始まったら速やかに設定するよう呼びかけています（2026年10月9日更新の注意喚起）。
IPAは2025年8月28日にパスキーの利用を勧め、警察庁も2026年9月・10月にパスキーの活用や導入を呼びかけています。
| 月 | 不正アクセス | 不正取引 |
|---|---|---|
| 2025年1月〜2026年9月の累計 | 19,252件 | 10,642件 |
| 2025年1月 | 144件 | 69件 |
| 2025年2月 | 97件 | 34件 |
| 2025年3月 | 2,321件 | 935件 |
| 2025年4月 | 5,490件 | 3,033件 |
| 2025年5月 | 3,404件 | 2,440件 |
| 2025年6月 | 1,865件 | 920件 |
| 2025年7月 | 1,099件 | 930件 |
| 2025年8月 | 1,448件 | 654件 |
| 2025年9月 | 326件 | 196件 |
| 2025年10月 | 778件 | 377件 |
| 2025年11月 | 363件 | 157件 |
| 2025年12月 | 382件 | 116件 |
| 2026年1月 | 330件 | 146件 |
| 2026年2月 | 217件 | 171件 |
| 2026年3月 | 158件 | 121件 |
| 2026年4月 | 339件 | 101件 |
| 2026年5月 | 222件 | 106件 |
| 2026年6月 | 171件 | 104件 |
| 2026年7月 | 18件 | 5件 |
| 2026年8月 | 43件 | 25件 |
| 2026年9月 | 37件 | 2件 |
金融庁の集計（発生日ベースの暫定値）では、2025年1月から2026年9月までの不正アクセスは累計19,252件、不正取引は10,642件、売却金額は約4,372億円です。月ごとの件数は上の表のとおりです。公式の資料は、件数が減った理由をパスキーの効果とは述べていません。
パスキーのよくある質問
パスキーを作るとパスワードは使えなくなりますか？
サービスで違います。Yahoo! JAPAN IDはパスワードのログインを残すか無効にするか選べ、松井証券もパスワードでも入れます。楽天証券は、パスキーを作るとパスワードでのログインができなくなりますが、どうしても入れないときは、パスキーの利用を一時停止すればパスワードで入れます。
指紋や顔のデータは、サービスに送られますか？
送られません。本人確認は端末の中で行い、Google・Microsoft・Yahoo! JAPAN・ドコモは、生体情報を送信・保存しないと案内しています。
スマートフォンを持っていなくても、証券会社のパスキーは使えますか？
日本証券業協会のガイドラインは、必要な機器を持たない人には代わりの多要素認証を用意するよう求めています。楽天証券は2026年5月31日からパソコンだけでも作れるようにし、野村證券は残高や明細を見るだけの「照会メニュー」を用意しています。
パスキーがあれば、フィッシングの心配はなくなりますか？
偽サイトではパスキーが使えない仕組みですが、メールやSMSのリンクを開かない、ブックマークから入る、という金融庁の呼びかけは続けてください。
この記事の根拠
2026年11月6日に、上の公式のページで確かめました。文：ベストカレンダー編集部。公開 2026年11月6日・更新 2026年11月6日。運営：株式会社SATY。
誤りのご指摘はお問い合わせへ。
修正の履歴は訂正の記録をご覧ください。
